สรุปสั้น

WordPress เป็นระบบจัดการเนื้อหาที่ใช้สร้างเว็บไซต์จำนวนมากที่สุดในโลก ทุกครั้งที่อัปเดต WordPress จะแตกไฟล์รุ่นใหม่ลงในไดเรกทอรีชั่วคราวก่อนติดตั้ง และนั่น คือ จุดที่ช่องโหว่ร้ายแรงที่สุดของรอบนี้อยู่ WordPress ออกเวอร์ชัน 7.1.4 เมื่อ 28 ตุลาคม 2569 แก้ช่องโหว่ความปลอดภัย 22 ตัว ตัวที่ร้ายแรงที่สุดเป็น race condition ในขั้นตอนอัปเดต ผู้โจมตีที่ไม่ต้องมีบัญชีใดอาจเข้าถึงตัวติดตั้ง WordPress ที่แตกค้างอยู่ใน wp-content/upgrade/ ระหว่างอัปเดต แล้วสั่งติดตั้งโดยชี้ไปยังฐานข้อมูลที่ตัวเองคุม จนนำไปสู่การรันโค้ดบนเซิร์ฟเวอร์ได้ ช่องโหว่นี้รายงานโดยนาย Umut Bayram นักวิจัยความปลอดภัย

ช่องโหว่อีก 21 ตัวเป็น stored XSS หลายจุด โดยเฉพาะใน Interactivity API ที่ผู้ใช้สิทธิ์ Contributor ฝังสคริปต์ได้ ช่องโหว่ข้อมูลรั่ว และช่องโหว่สิทธิ์เข้าถึงผิดพลาด บริษัท Patchstack ประเมินว่าช่อง RCE ใช้โจมตีจริงได้ยาก เพราะมีช่วงเวลาเปิดเพียงไม่กี่วินาที แต่เว็บที่เป็นเป้าก็มีจำนวนมหาศาล ผู้ดูแลเว็บควรอัปเดตทันที ตรวจว่าเวอร์ชันเปลี่ยนจริงแม้เปิดอัปเดตอัตโนมัติไว้ และบล็อกการเข้าถึง wp-content/upgrade/ จากเว็บ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า WordPress ออกเวอร์ชัน 7.1.4 เมื่อวันที่ 28 ตุลาคม เพื่อแก้ช่องโหว่ความปลอดภัย 22 ตัว และเรียกร้องให้เจ้าของเว็บไซต์อัปเดตทันที ประกาศอย่างเป็นทางการให้เครดิตนาย Umut Bayram นักวิจัยความปลอดภัยผู้ค้นพบช่อง RCE ในขั้นตอนอัปเดต ส่วนช่องโหว่ที่เหลือมาจากนักวิจัยอิสระหลายรายและ WordPress Security Team โดยช่องโหว่เรื่องคำขอลบข้อมูลส่วนบุคคลและชื่อผู้ใช้ที่สร้างมาเฉพาะ รายงานโดยบริษัท Anthropic ขณะที่บทวิเคราะห์ของบริษัท Patchstack ชี้ว่าช่องโหว่ทั้ง 22 ตัวกระจายอยู่ใน 17 ประกาศ เพราะบางประกาศรวมไว้หลายตัว และประเมินว่าช่อง RCE ใช้โจมตีจริงได้ยาก เนื่องจากช่วงเวลาที่เปิดให้โจมตีมีเพียงไม่กี่วินาทีระหว่างอัปเดต

นอกจากรุ่นล่าสุด WordPress ยังออกแพตช์ให้สายเก่าพร้อมกัน ได้แก่ 7.0.8, 6.9.11 และย้อนไปถึง 4.7.39 แต่เอกสารเวอร์ชันระบุว่าไม่ใช่ทุกสายที่มีช่องโหว่ครบทั้ง 22 ตัว และมีเพียงเวอร์ชันล่าสุดที่ได้รับการสนับสนุนเต็มรูปแบบ ส่วนเวอร์ชัน 4.6 และเก่ากว่าไม่ได้รับแพตช์ความปลอดภัยแล้ว รุ่นนี้ยังอัปเดตชุดใบรับรองรากที่ติดมากับ WordPress ตามการเพิกถอนใบรับรองของ eMudhra ซึ่ง Microsoft เพิ่งถอดออกจาก trust list ของ Windows (2026/10/314 ) ส่วน WordPress 7.2 รุ่นใหญ่ถัดไปยังคงกำหนดออกวันที่ 8 ธันวาคม 2569 ทั้งนี้ข้อจำกัดของข้อมูล คือ ยังไม่มีการระบุหมายเลข CVE หรือคะแนน CVSS ของช่องโหว่แต่ละตัว และยังไม่มีรายงานว่าช่องโหว่ใดถูกใช้โจมตีจริง

รายละเอียดช่องโหว่

RCE ผ่านขั้นตอนอัปเดต — สาเหตุ — ระหว่างอัปเดต WordPress แตกไฟล์ลงไดเรกทอรี wp-content/upgrade/ ในเวอร์ชันก่อนหน้า ชื่อโฟลเดอร์ชั่วคราวเดาได้ และขั้นตอนทำความสะอาดลบไฟล์ index.php ที่ใช้กันการเข้าถึงออกไป ตัวติดตั้ง WordPress ที่แตกไว้จึงเปิดให้เข้าจากเว็บได้ชั่วขณะ

RCE ผ่านขั้นตอนอัปเดต — เงื่อนไขและผลลัพธ์ — ช่องโหว่นี้เป็น race condition คือ ผู้โจมตีต้องเข้าถึงตัวติดตั้งชั่วคราวในจังหวะที่พอดี การโจมตีไม่ต้องมีบัญชี WordPress แต่ต้องอาศัยช่วงอัปเดตที่สั้นมาก และไดเรกทอรี wp-content/upgrade/ ต้องเข้าถึงได้จากสาธารณะ ถ้าผู้โจมตีเข้าถึงได้ทัน ก็สั่งติดตั้งโดยใช้ฐานข้อมูลที่ตัวเองควบคุม ซึ่งเปิดทางไปสู่การรันโค้ด Patchstack ระบุด้วยว่าไฟร์วอลล์แบบปลั๊กอินของ WordPress อาจป้องกันไม่ได้ เพราะสำเนาตัวติดตั้งที่แตกออกมาโหลดแยกจากเว็บหลัก

RCE ผ่านขั้นตอนอัปเดต — การแก้ไข — WordPress 7.1.4 เพิ่มตัวอักษรสุ่ม 16 ตัวในชื่อโฟลเดอร์ชั่วคราว คืนการป้องกันด้วย index.php และกันไม่ให้ wp-config.php ถูกคัดลอกจากไดเรกทอรีทำงาน

Stored XSS ใน Interactivity API — Interactivity API เป็นส่วนที่รองรับฟีเจอร์โต้ตอบบนหน้าเว็บ ผู้ใช้สิทธิ์ Contributor บันทึก attribute ที่สร้างมาเฉพาะซึ่งผ่านตัวกรองเนื้อหาได้ แต่ภายหลังไปสั่งการที่ไม่ปลอดภัยในเบราว์เซอร์ของผู้เปิดดู stored XSS คือ สคริปต์อันตรายที่ถูกบันทึกไว้ในเว็บและทำงานเมื่อผู้ใช้คนอื่นเปิดเนื้อหานั้น ถ้าผู้เปิดเป็นผู้ดูแลระบบ ผู้โจมตีอาจใช้สิทธิ์ของผู้ดูแลได้ อัปเดตนี้บล็อก binding อันตราย เพิ่มการตรวจสอบ และแก้ช่องโหว่ DoS ที่ทำให้แท็บเบราว์เซอร์ของผู้เข้าชมค้าง

Stored XSS จุดอื่น — ครอบคลุม block markup ที่สร้างมาเฉพาะ, Customizer selective refresh, Categories และป้ายเมนูนำทาง รวมถึงเพิ่มความแข็งแรงให้การประมวลผล Image และ Playlist

ข้อมูลรั่วและสิทธิ์ผิดพลาด — ช่องโหว่ใน Customizer เปิดให้ผู้เข้าชมที่ไม่มีบัญชีเห็นการเปลี่ยนแปลงที่ยังไม่เผยแพร่ ส่วนระบบ Notes ถูกปรับให้ผู้ใช้เข้าถึงบันทึกที่แนบกับโพสต์ที่ตัวเองไม่มีสิทธิ์แก้ไขไม่ได้ นอกจากนี้ยังแก้ปัญหาที่เกี่ยวกับคำขอลบข้อมูลส่วนบุคคลและชื่อผู้ใช้ที่สร้างมาเฉพาะ

ผลกระทบ

ผู้ที่ได้รับผลกระทบ คือ เว็บไซต์ WordPress ทุกแห่งที่ยังไม่อัปเดต โดยช่อง RCE กระทบเว็บที่ wp-content/upgrade/ เข้าถึงได้จากภายนอก ซึ่งเป็นค่าเริ่มต้นของโฮสติ้งจำนวนมาก ถ้าโจมตีสำเร็จ ผู้โจมตีจะรันโค้ดบนเซิร์ฟเวอร์ได้ ซึ่งนำไปสู่การฝังแบ็กดอร์ ขโมยฐานข้อมูล หรือใช้เว็บแพร่มัลแวร์ ส่วนช่องโหว่ stored XSS เสี่ยงที่สุดกับเว็บที่มีผู้เขียนหลายคน เช่น เว็บข่าว เว็บองค์กร และเว็บมหาวิทยาลัย เพราะบัญชี Contributor เพียงบัญชีเดียวที่ถูกยึดหรือเป็นคนในที่ประสงค์ร้าย ก็ใช้โจมตีผู้ดูแลระบบได้

ความเร่งด่วนอยู่ที่จำนวนเว็บ แม้ RCE จะใช้ยากเพราะช่วงเวลาสั้น แต่ผู้โจมตีที่สแกนเว็บ WordPress จำนวนมากอาจเฝ้ารอช่วงที่เว็บอัปเดตอัตโนมัติได้ และเว็บที่ยังอยู่สายเก่าหรือหยุดอัปเดตจะเสี่ยงไปอีกนาน

คำแนะนำ

  • อัปเดตเป็น WordPress 7.1.4 ทันที — ผ่าน Dashboard > Updates > Update Now หรือดาวน์โหลดโดยตรง เว็บที่อยู่สายเก่าให้อัปเดตเป็น 7.0.8, 6.9.11 หรือรุ่นที่แก้แล้วของสายนั้น
  • ตรวจเวอร์ชันจริงหลังอัปเดต — แม้เปิดอัปเดตอัตโนมัติเบื้องหลังไว้ ให้ยืนยันว่าเวอร์ชันที่ติดตั้งเปลี่ยนแล้ว ไม่ใช่สันนิษฐานว่าสำเร็จ
  • บล็อกการเข้าถึง wp-content/upgrade/ ที่ระดับเว็บเซิร์ฟเวอร์ — ตามคำแนะนำของ Patchstack เพราะไฟร์วอลล์แบบปลั๊กอินอาจไม่ครอบคลุมตัวติดตั้งที่แตกออกมา
  • ทบทวนบัญชีสิทธิ์ Contributor ขึ้นไป — ลบบัญชีที่ไม่ใช้แล้ว และตรวจเนื้อหาที่บัญชีเหล่านี้บันทึกไว้ช่วงก่อนอัปเดต
  • ย้ายเว็บที่ใช้เวอร์ชัน 4.6 หรือเก่ากว่า — เวอร์ชันเหล่านี้ไม่ได้รับแพตช์ความปลอดภัยแล้ว ควรวางแผนอัปเกรดหรือปิดเว็บ

แหล่งอ้างอิง